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Datoranordning med sakerhetsfunktion 

10 UPPFINNINGENS BAKGRUND OCH TIDIGARE TEKNIK 

Foreliggande uppfinning avser en datoranordning med saker- 
hetsfunktion fdr att undvika ej nodvandig nedkoppling av dator- 
anordningen, innefattande processororgan, en ordinarie minnes- 
15 enhet ansluten till namnda processororgan och inrattad att inne- 
halla atminstone ett program som exekveras av processororga- 
net, en Overvakningsenhet som Overvakar datoranordningens 
funktion och som ar inrattad att, om fel uppstar, sanda,en ater- 
startsignal eller stoppsignal till processororganet. 

20 

Sadana datoranordningar ar tidigare kanda. Cvervakningsen- 
heten kan exempelvis utgdras av en sa kallad "watchdog timer". 
US-A-4 763 296 beskriver funktionen av en s^dan watchdog 
timer. En sadan anordning har saledes en timer som kontinuer- 

25 ligt ar i drift nar datoranordningen anvands. Om timern uppnar 
ett fdrutbestamt varde, dvs om en forutbestamd tid har Idpt ut, 
sa genererar watchdog-timern en aterstartsignai som fdrorsakar 
en aterstart (reset) av datoranordningen. Under normal anvand- 
ning nollstalls timern med jamna mellanrum av processorns 

30 normala programforlopp. Om fel skulle uppsta, exempelvis om 
datorn exekverar en oandlig subrutin, nollstalls inte timern och 
watchdog-timern fOrorsakar siledes en omstart av systemet. 

Aven andra typer av datoranordningar med sakerhetsfunktioner 
35 ar forut kanda. Siledes beskniver EP-A-481 508 en anordning 
som innefattar ett backup-minne. Nar stromforsOrjningen stangs 
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av till datoranordningen 6v rfors centralprocessorns status och 
innehallet i ett huvudminne till namnda backup-minne. Nar se- 
dan datoranordningen ater startas genom att stromfdrsorjn.ngen 
ansluts pa nytt si aterstalls vad som finns lagrat i backup-m.n- 
5 net. 

EP-A-265 366 beskriver en datoranordning som mnefatTar - ett- 
primart minne och ett backup-minne. Omkoppling fran det pri- 
mara minnet till backup-minnet g6rs med hjalp av en "Backup 
10 Control System Transfer Mechanism". Denna mekanism ar rela- 
tivt komplicerad. Vid generering av en power-on-reset signal sa- 
kerstaller namnda mekanism att omstart sker frin primarminnet 
(se spalt 6, rad 21-28). 

15 Det ffireligger ett behov av att fftrbattra sakerhetsfunktionen hos 
en datoranordning. Salunda finns ett behov att pS ett sakert satt 
omstarta datoranordningen nar ett fel har detekterats. Ett sSdant 
fel som kan fororsaka fel i datorns drift ar exempelvis minnesfel 
som kan upptrada i det minne dar program finns lagrade som 

20 exekveras i datoranordningen. Fel kan aven fdrorsakas av pro- 
gramvaran som finns lagrad i datoranordningens minne. Exem- 
pelvis kan sadana fel uppsta om ny programvara anvands som 
inte ar fullstandigt utprovad. Vidare finns ett behov av att saker- 
staila funktionen hos datoranordningen med relativt enkla me- 

25 del. Ett ytterligare problem ar att sakerstaila atminstone vissa 
basfunktioner hos datoranordningen nar olika fel uppstar. 

SAMMANFATTNING AV UPPFINNINGEN 

30 Andamalet med fOreliggande uppfinning ar att astadkomma en 
datoranordning med en tillfOrlitlig sakerhetsfunktion som dess- 
utom uppnas med relativt enkla medel. 

Detta andamai uppnas med den inledningsvis angivna datoran- 
35 ordningen som kannetecknas av en ytterligare minnesenhet som 
ar inrattad att innehaila atminstone vissa grundiaggande sy- 
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steminstruktioner, varvid datoranordningen ar inrattad sa att 
processororganet, vid aterstart genererad av namnda aterstart- 
signal fran 6vervakningsenheten, kopplas upp mot den ytterli- 
gare minnesenheten och laser och exekverar instruktioner som 
5 finns lagrade i denna, medan den ordinarie minnesenheten ar 
bortkopplad fran processororganet. 

Genom att processororganet kopplas upp mot den ytterligare 
minnesenheten nar en aterstartsignal har genererats av over- 

10 vakningsenheten sa undviks att eventuella fel som foreligger i 
de instruktioner som ar lagrade i den ordinarie minnesenheten 
overfors till processororganet. Darigenom uppnas en sakrare 
omstart av datoranordningen efter det att en aterstartsignal har 
genererats som svar pi ett detekterat fel. I detta sammanhang 

15 bor noteras att-nar i patentkraven och beskrivningen anges att 
en minnesenhet kopplas upp eller ar bortkopplad fran proces- 
sororganet sa menas darmed inte nodvandigtvis att bortkoppling 
sker genom att fysiskt bryta forbindelsen mellan processororga- 
net och minnesenheten i fraga. Begreppen koppla upp och bort- 

20 koppla innefattar saledes-tva mojligheter: dels fysisk koppling 
genom brytning av forbindelsen; dels uppkoppling och bortkopp- 
ling pa programniva. 

Enligt en utforingsform av uppfinningen utgor den ordinarie min- 
25 nesenheten och den ytterligare minnesenheten tva olika. fysiskt 
separata, minnen. Darigenom uppnas okad sakerhet eftersom 
den ordinarie minnesenheten foreligger som ett separat minne 
som ar helt bortkopplat fran processororganet vid aterstart. 

30 Enligt en alternativ utforingsform av uppfinningen utgor den or- 
dinarie minnesenheten och den ytterligare minnesenheten tva 
delar av fysiskt samma minne, men med olika minnesadresser. 
Genom denna konstruktion kravs farre minneskomponenter ef- 
tersom den^ytterligare minnesenheten finns lagrad. som en spe- 

35 ciell del"av*det#minne da;r*aven«len ordinarie minnesenheten»in- 
gar. 
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Enligt en ytterligare utfdringsform av uppfinningen ar namnda 
overvakningsenhet inrattad att generera en signal i beroende av 
en timer p& sa satt att namnda aterstartsignal genereras om 
5 ingen trigger-signal som nollstailer timern erhSlls inom ett fdrut- 
bestamt tidsintervall. Overvakningsenheten kan i detta fail sdle- 
des utgfiras av en si kallad watchdog timer (WDT). En sttan 
WDT ingar ofta i datoranordningar. SSIedes kan en s£dan val 
fungerande redan befintlig WDT anvandas som Overvakningsen- 
10 het i anordningen enligt fOreliggande uppfinning. Det bOr dock 
papekas att aven andra typer av Overvakningsenheter an en 
WDT kan anvandas i datoranordningen enligt uppfinningen. 

Enligt annu en utfdringsform av uppfinningen innefattar datoran- 
15 ordningen en minnessakerhetskrets som ar inrattad att stoppa 
iniasning fran den ordinarie minnesenheten och att koppla upp 
f6r iniasning fran namnda ytterligare minnesenhet nar b£de 
namnda Sterstartsignal och en signal indikerande p£iagd driv- 
spanning foreligger. En s&dan minnessakerhetskrets ar en rela- 
20 tivt enkel och val fungerande krets som tillser att omkoppling 
fran den ordinarie till den ytterligare minnesenheten sker. Vidare 
sakerstailer denna minnessakerhetskrets att en s&dan omkopp- 
ling endast sker om drivspanning till datoranordningen fdrelig- 
ger. 

25 

Enligt en ytterligare utfflringsform av uppfinningen ar namnda 
ytterligare minnesenhet inrattad s& att den innehSller grund- 
laggande systeminstruktioner men en h6g niv£ av funktionssa- 
kerhet. Den ytterligare minnesenheten kan harvid vara inrattad 

30 att inneh&lla systeminstruktioner som redan har varit val testade 
och som darfdr har en hog funktionssakerhet. Den ytterligare 
minnesenheten kan harvid ocksd vara ffirsedd med de grund- 
laggande instruktionerna ffir datoranordningen medan icke nOd- 
vandiga systeminstruktioner har uteslutits frSn namnda ytterli- 

35 gare minnesenhet. 



Enligt annu en utforingsform av uppfinningen ar namnda ytterli- 
gare minnesenhet inrattad sa att den inn nailer syst minstruk- 
tioner med en nlva av funktionssakerhet som ar hdgre an den 
niva av funktionssakerhet som foreligger i den ordinarie minnes- 

5 enheten. Saledes kan den ordinarie minnesenheten innefatta sy- 
steminstruktioner som ej ar sa val testade i datoranordningen. 
Den ytterligare minnesenheten kan dSrvTd innetra1ta-de giund^- 
laggande systeminstruktionerna som redan har visat sig ha h6g 
funktionssakerhet. Inom uppfinningens ram ligger givetvis aven 

10 mdjligheten att den ordinarie minnesenheten och den ytterligare 
minnesenheten innehaller systeminstruktioner med samma niva 
av funktionssakerhet. 

Enligt en ytterligare utforingsform av uppfinningen ar atminstone 
15 namnda ytterligare minnesenhet ett icke flyktigt minne. Detta bi- 
drar till en Okad funktionssakerhet hos datoranordningen. 

Enligt annu en utforingsform av uppfinningen innefattan namnda 
processororgan ett arbetsminne som ar sa inrattat att*vid ater- 

20 start av datoranordningen nollstalls detta arbetsminne innan in- 
lasning fran namnda ytterligare minnesenhet pabOrjas*. Darige- 
nom sakerstalls att instruktioner som kan innehalla fehoch som 
harror fran- den- ordinarie minnesenheten- ej kvarliggeH arbets- 
minnet innan iniasning fran den ytterligare minnesenheten pa- 

25 bOrjas. 

Enligt en ytterligare utforingsform av uppfinningen ar namnda 
ytterligare minnesenhet inrattad att vara skrivskyddad at- 
minstone da datoranordningen ar i drift. Detta bidrar till ytterli- 
30 gare sakerhet eftersom innehallet i den ytterligare minnesenhe- 
ten ar skyddat och ej kan andras da datoranordningen ar i drift. 

Enligt annu en utforingsform av uppfinningen ar datoranord- 
ningen inr.attad"Sa att-om namnda aterstartsignal har genererats 
35 ett fOrutbestamt^antalagaiagej^sa.generie^as^ om iter etfrfel upp- 
star, namnda stoppsignal. Detta innebar att Cvervakningsenhe- 
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ten genererar ett fOrutbestamt antal aterstartsignaler. Om det 
visar sig att fel fOreligger aven efter det att ett fOrutbestamt an- 
tal aterstartfOrsOk har gjorts sa stoppas datoranordningen. 

5 Enligt annu en utforingsform av uppfinningen innefattar datoran- 
ordningen omkopplingsorgan fOr att manuellt generera namnda 
aterstartsignal. Detta innebar att fOrutom automatisk generering 
av aterstartsignal genom Overvakningsenheten kan aven en ma- 
nuell aterstartsignal genereras av en operator. En operator kan 
10 saledes beordra att aterstart fran den ytterligare minnesenheten 
ska ske. 

KORT BESKRIVNING AV RITNINGEN 

15 FOreliggande uppfinning skall nu fOrklaras med hjalp av en be- 
skriven utforingsform, som utgOr ett exempel pa uppfinningen, 
och med hanvisning till den bifogade ritningen. 

Fig 1 visar schematiskt ett blockschema av en utforingsform av 
20 uppfinningen. 

DETALJERAD BESKRIVNING AV EN UTFORINGSFORM AV 
UPPFINNINGEN 

25 Fig 1 visar ett blockschema av en utforingsform av uppfinningen. 
Datoranordningen innefattar ett processororgan 10. Med detta 
processororgan 10 avses inte endast datoranordningens cen- 
trala processorenhet (CPU) utan aven andra centrala delar av 
datoranordningen sasom exempelvis arbetsminnet 22. Datoran- 

30 ordningen innefattar aven en ordinarie minnesenhet 12. Denna 
ordinarie minnesenhet 12 kan exempelvis utgOras av nagon form 
av PROM, exempelvis UVPROM, EEPROM eller liknande. Nar 
datoranordningen fOrst startas uppkopplas processororganet 10 
mot den ordinarie minnesenheten 12. Denna ordinarie min- 

35 nesenhet 12 ar saledes inrattad att innehalla de instruktioner 
som styr datoranordningens drift. Datoranordningen innefattar 
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aven en overvakningsenhet 14. Overvakningsenheten 14 6ver- 
vakar datoranordningens funktion och ar inrattad att g n r ra en 
aterstartsignal eller stoppsignal till processororganet 10 om 
Svervakningsenheten 14 detekterar ett fel. Overvakningsenheten 

5 14 kan exempelvis utgOras av-en sa kallad watchdog timer 
(WPT). En sadan WDT 14 genererar en signal som beror av en 
timer 18. En aterstartsignal genereras darvid om WDX:n 14 inom 
ett fdrutbestamt tidsintervall inte erhaller en trigger-signal som 
nollstaller timern 18. F5r att ha hog sakerhet innefattar WDT:n 

10 14 lampligen en egen timer 18. Det ar dock mdjligt att WDT:ns 
14 timer-funktion styrs av samma klocka som ingar i 
processororganet 10. 

Datoranordningen innefattar aven en ytterligare minnesenhet 16. 

15 Denna ytterligare minnesenhet- 16 ar inrattad att innehalla at- 
minstone vissa grundlaggande systeminstruktioner. Den ytterli- 
gare minnesenheten 16 kan utgOra ett minne som ar fysiskt se- 
parat^fran den ordinarie ^minnesenheten 12. De*t*»ar*aven- mojligt 
att den ordinarie minnesenheten»12 och den*ytteriigare minnes- 

20 enheten 16 utgor tva delar av fysiskt- samma«minne. F6r att yt- 
terligare Oka sakerheten om ett minnesfel-skuHe uppsta kan den 
ordinarie minnesenheten 12 och: den-ytterligare minnesenheten 
16 utgOras^av'-fysiskt ? separata»minnen f av^olika^tvypv exempelvis 
fran olika tillverkare. Den ytterligare minnesenheten utgOrs 

25 lampligen av nagon form av PROM, exempelvis UVPROM eller 
EEPROM. 



Datoranordningen innefattar aven en minnessakerhetskrets 20. 
Denna minnessakerhetskrets 20 kan inga som en del av proces- 

30 sororganet 10. I den visade utforingsformen utgSr emellertid 
minnessSkerhetskretsen 20 en separat krets. Minnessakerhets- 
kretsen 20 innefattar en AND-grind 21. Minnessakerhetskretsen 
20 styr vilken av den ordinarie minnesenheten 12 och den ytter- 
ligare minnesenheten. 16 som skall vara inkopplad^till processor- 

35 organet^lO. Denna styrning kan* antingeji utgorasi*av*>brytning 
eller slutning av den elektriska fdrbindelsen mellan respektive 
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minn senhet 12, 16 och processorenheten 10 eller ocksS utgo- 
ras av styrning pa programniva av dessa forbindelser. Det ar 
aven mdjligt att styrningen utg6rs av en kombination av pro- 
gramvaruinstruktioner och fysisk brytning eller slutnlng. AND- 
grindens ena ingang ar ansluten till en ledning 23 som indikerar 
at t drivspanning foreligger. AND-grindens 21 andra ingang ar^ 
ansluten till en ledning 25 som ar fOrbunden med WDT:n 14. Via 
denna ledning 25 leds en av WDT:n 14 genererad aterstartsignal 
till AND-grinden 21 och darmed till minnessakerhetskretsen 20. 

Datoranordningen innefattar aven ett omkopplingsorgan 24 f6r 
att manuellt generera en aterstartsignal. Detta omkopplingsor- 
gan 24 kan lampligen vara anslutet till den ingang hos AND- 
grinden som aven ar ansluten till WDT:n 14. 



WDT:n 14 overvakar saiedes datoranordningens funktion. Nar 
datoranordningen fungerar normalt erhaller WDT:n 14 med 
jamna mellanrum en trigger-signal fran processororganet 10. 
Denna trigger-signal nollstailer timern 18. Darvid genererar 
20 WDT:n 14 ingen aterstartsignal till ledningen 25. Om emellertid 
fel uppstar sa att WDT:n 14 ej erhaller nagon trigger-signal inom 
ett farutbestamt tidsintervall fran processororganet 10 sa gene- 
rerar WDT:n 14 en aterstartsignal. Denna aterstartsignal leds 
saiedes till den ena ingangen hos AND-grinden 21. Nar AND- 
25 grinden 21 erhaller en sSdan aterstartsignal, och om samtidigt 
AND-grindens 21 andra ingang detekterar att drivspanning f6re- 
ligger, sa tillser minnessakerhetskretsen 20 att den ordinarie 
minnesenheten 12 kopplas bort fr£n processororganet 10 och att 
den ytterligare minnesenheten 16 kopplas upp mot processoror- 
30 ganet 10. Aven processororganet 10 erhaller en signal, lampli- 
gen fran WDT:n 14, om att aterstart skall genomfOras. Proces- 
sororganets 10 arbetsminne 22 nollstails darvid, varefter inias- 
ning fran den ytterligare minnesenheten 16 sker. Iniasning sker 
darvid till fOrutbestamda adresser hos arbetsminnet 22. Proces- 
35 sororganet 10 laser och exekverar saiedes de instruktioner som 
finns lagrade i den ytterligare minnesenheten 16. 



Det ar tankbart att ett aterstartfors6k misslyckas och att WDT:n 
14 dSrfor genererar en ny aterstartsignal. Om anyo fel detekte- 
ras kan ytteFligare aterstartsignaler genereras av WDT:n 14. 
5 Datoranordningen ar darvid lampligen inrattad sa atfc nar ett for- 
utbestamt antal aterstartfdrsdk har gjorts sj stoppas aterstart- 
fdrsdken. Darvid kan en varningsfunktion genereras av datoran- 
ordningen och senaste information betraffande processororga- 
nets 10 och minnesenheternas 12. 16 status kan registreras for 

10 senare analys. Lampligen ar datoranordningen inrattad sa att 
aterstartfdrsdken stoppas efter exempelvis ett till fyra aterstart- 
fSrsOk, fOretradesvis efter tvS aterstartforsbk. Datoranordningen 
kan darvid vara inrattad sa att aterstartfdrsdken stoppas om 
namnda fdrutbestamda antal aterstartfdrsdk har genomfdrts 

15 inom ett forutbestamt tidsintervall. 

Fdr Okad sakerhet ar lampligen den ytterligare minnesenheten 
16 inrattad sd att den ar skrivskyddad nar datoranordningen ar i 
drift. Vidare utgdrs lampligen savai den ordinarie minnesenheten 
20 12 som den ytterligare minnesenheten 16 av icke flyktiga min- 
nen. 

Den ytterligare minnesenheten 16 ar lampligen* inrattad sa att 
den innehaller grundiaggande systeminstruktioner vid en hdg 

25 niva av funktionssakerhet. Den ytterligare minnesenheten 16 
kan darvid innehaila primara och vaiutprovade systemfunktioner. 
Lampligen ar den ytterligare minnesenheten 16 inrattad sa att 
den darvid innehaller systeminstruktioner med en hogre niva av 
funktionssakerhet an de systeminstruktioner som fdreligger i den 

30 ordinarie minnesenheten 12. Med uttrycket "niva av funktionssa- 
kerhet" kan harvid exempelvis avses de programvarusakerhets- 
nivaer som definierats enligt RTCA-standard dokument 
NO.RTCA/DO-178B. 
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FOreliggande uppfinning Sr inte begrSnsad till den visade utfti- 
ringsformen utan kan varieras och modifieras inom ramen fdr de 
efterfOljande patentkraven. 
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Patentkrav 

1. Datoranordning med sakerhetsfunktion f6r att undvika ej 
nodvandig nedkoppling av datoranordningen, innefattande 

5 processororgan (10), 
en ordinarie minnesenhet (12) ansluten till namnda pro- 
cessororgan (10) och inrattad att innehSlla atminstone ett pro- 
gram som exekveras av processororganet (10), 

en overvakningsenhet (14) som Svervakar datoranordning- 
10 ens funktion och som ar inrattad att, om fel uppstar, sanda en 
aterstartsignal eller stoppsignal till processororganet (10), 
kannetecknad av 

en ytterligare minnesenhet (16) som ar inrattad att inne- 
hdlla atminstone vissa grundiaggande systeminstruktioner, var- 

15 vid datoranordningen ar inrattad s£ att processororganet (10), 
vid aterstart genererad av namnda aterstartsignal fr£n Svervak- 
ningsenheten (14), kopplas upp mot den ytterligare minnesen- 
heten (16) och laser, och exekverar instruktioner*som finns lag- 
rade i denna, medan den ordinarie minnesenheten (12) ar bort- 

20 kopplad frSn processororganet *(10)V 

2. Datoranordning enligt krav 1, varvid den ordinarie minnes- 
enheten (12) och den ytterligare minnesenheten* (16) utgSr tv£ 
olika, fysiskt separata, minnen. 

25 

3. Datoranordning enligt krav 1, varvid den ordinarie minnes- 
enheten (12) och den ytterligare minnesenheten (16) utgGr tv£ 
delar av fysiskt samma minne, men med olika minnesadresser. 

30 4. Datoranordning enligt nagot av fdregaende krav, varvid 
namnda overvakningsenhet (14) ar inrattad att generera en sig- 
nal i beroende av en timer (18) pa s& satt att namnda aterstart- 
signal genereras om ingen trigger-signal signal som nollstdller 
timern (18) erhSlls inom ett f6rutbestamt tidsintervall. 
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5. Datoranordning nligt nagot av fOregaende krav, innefat- 
tande en minnessakerhetskrets (20) som ar inrattad att stoppa 
inlasning fran den ordinarie minnesenheten (12) och att koppla 
upp far inlasning fran namnda ytterligare minnesenhet (16) nar 

5 bade namnda aterstartsignal och en signal indikerande palagd 
drivspanning fdreligger. 

6. Datoranordning enligt nigot av fOregaende krav, varvid 
namnda ytterligare minnesenhet (16) ar inrattad sa att den inne- 

10 haller grundlaggande systeminstruktioner med en h8g niva av 
funktionssakerhet. 

7. Datoranordning enligt krav 6, varvid namnda ytterligare 
minnesenhet (16) ar inrattad sa att den innehaller systemin- 

15 struktioner men en niva av funktionssakerhet som ar hdgre an 
den niva av funktionssakerhet som fdreligger i den ordinarie 
minnesenheten (12). 

8. Datoranordning enligt nagot av fOregaende krav, varvid at- 
20 minstone namnda ytterligare minnesenhet (16) ar ett icke flyktigt 

minne. 

9. Datoranordning enligt nagot av fdregaende krav, varvid 
namnda processororgan (10) innefattar ett arbetsminne (22) 

25 som ar sa inrattat att vid aterstart av datoranordningen nollstalls 
detta arbetsminne (22) innan inlasning fran namnda ytterligare 
minnesenhet (16) pabOrjas. 

10. Datoranordning enligt nagot av fdregaende krav, varvid 
30 namnda ytterligare minnesenhet (16) ar inrattad att vara skriv- 

skyddad atminstone da datoranordningen ar i drift. 

11. Datoranordning enligt nagot av fdregaende patentkrav, in- 
rattad sd att om namnda aterstartsignal har genererats ett forut- 

35 bestamt antal ganger sa genereras, om ater ett fel uppstar, 
namnda stoppsignal. 
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12. Datoranordning enligt nagot av fdrega nde krav, innefat- 
tande omkopplingsorgan (24) fdr att manuellt generera namnda 
aterstartsigoal. 
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Sammandraa 

Uppfinningen avser en datoranordning med sakerhetsfunktion 
for att undvika ej nddvdndig nedkoppling av datoranordningen. 
5 Datoranordningen innefattar processororgan (10), en ordinarie 
minnesenhet (12), en dvervakningsenhet (14) och en ytterligare 
minnesenhet (16). Datoranordningen 3r inrattad si att proces- 
sororganet (10) vid en Sterstart genererad av en aterstartsignal, 
kopplas upp mot den ytterligare minnesenheten (16) och laser 
10 och exekverar de instruktioner som finns lagrade i denna, me- 
dan den ordinarie minnesenheten (12) ar bortkopplad fran pro- 
cessororganet (10). 



(Fig 1) 
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